Новая ИИ-программа OpenAI может находить баги в нашем коде

22 июня OpenAI и компания по кибербезопасности Trail of Bits объявили о запуске Patch the Planet. Эта инициатива направлена на то, чтобы использовать ИИ для проактивного выявления уязвимостей в open source ПО и помогать мейнтейнерам их устранять. Для проведения этих сканирований будет использоваться Codex Security — модель OpenAI, обученная выявлять проблемы безопасности в коде.

Впрочем, это не автоматический процесс. Инженеры по безопасности из Trail of Bits будут использовать Codex Security для сканирования open source кодовых баз и вручную проверять каждый результат, прежде чем передать его мейнтейнерам проекта. Эти инженеры будут работать вместе с мейнтейнерами над патчами и тестами, которые гарантируют, что подобная проблема больше не повторится. Кроме того, они разработают воспроизводимые процессы, которые позволят другим проектам автоматически выявлять похожие баги в будущем.

Идея «не добавлять нагрузку» здесь очень важна. Мейнтейнеры open source проектов часто и так завалены автоматическими отчётами о безопасности низкого качества. Волонтёры, которые поддерживают популярные библиотеки в свободное время, не хотят получать ещё один почтовый ящик, забитый сырыми результатами сканера — им нужен кто-то, кто принесёт готовые решения. Patch the Planet это учитывает.

1Почему это важно для каждого, кто что-то строит

Строите ли вы веб-приложение, API или сервис на основе ИИ — велика вероятность, что вы полагаетесь на какие-то open source библиотеки, написанные другими людьми, в которые вы никогда не заглядываете. Будь то аутентификация, шифрование, парсинг или отправка HTTP-запросов — эти функции вполне может обслуживать чей-то побочный проект. В 2021 году в Log4j, популярной утилите логирования для Java, была обнаружена критическая уязвимость. В результате сотни миллионов устройств по всему миру оказались под угрозой. Эта уязвимость пряталась в кодовой базе годами.

Если игнорировать эту проблему, она никуда не денется. Если в библиотеке, которую вы используете, есть уязвимость — значит, она есть и в вашем софте. Под угрозой оказываются уже ваши клиенты. Patch the Planet — не серебряная пуля, но она помогает. С помощью ИИ мы можем сканировать целые кодовые базы за то время, которое человеку понадобилось бы, чтобы просмотреть первые несколько файлов, находя закономерности и краевые случаи, которые легко упустить уже на шестом часу проверки. Мы можем использовать ИИ, чтобы писать код — а ещё чтобы проверять код, который у нас уже есть.